Персональные данные клиентов груминг-салона: защита и оформление

Каждый груминг-салон ежедневно собирает десятки контактов: имя владельца питомца, номер телефона, адрес, данные банковской карты при онлайн-оплате. Многие предприниматели не задумываются, что с точки зрения закона всё это — персональные данные, обработка которых регулируется Федеральным законом № 152-ФЗ «О персональных данных». Нарушения караются штрафами до 300 000 ₽ для юридических лиц, а с 2024 года санкции за повторные нарушения и утечки выросли кратно.

Проблема в том, что большинство владельцев салонов по уходу за животными привыкли работать «на доверии»: записывают клиентов в мессенджерах, хранят номера телефонов в личных заметках администратора, а CRM-систему используют без какой-либо политики конфиденциальности. Между тем Роскомнадзор всё чаще проводит проверки малого бизнеса в сфере услуг, и груминг-индустрия — не исключение. Разберём пошагово, как привести работу с информацией о клиентах в соответствие с законом и избежать штрафов.

Какие сведения клиентов груминг-салона относятся к персональным данным

Первая ошибка предпринимателя — узкое понимание термина. Многие считают, что персональные данные — это только паспортные реквизиты. На самом деле ст. 3 Федерального закона № 152-ФЗ определяет их как любую информацию, относящуюся к прямо или косвенно определяемому физическому лицу (субъекту персональных данных).

В контексте груминг-салона к таким сведениям относятся:

• Фамилия, имя, отчество владельца животного
• Номер телефона и адрес электронной почты
• Домашний адрес (если салон оказывает услугу выездного груминга)
• Данные банковской карты при онлайн-оплате или рекуррентных платежах
• Фото и видео клиента (например, съёмка в салоне для соцсетей)
• История посещений, предпочтения, записи в CRM-системе
• Сведения о здоровье питомца, если они привязаны к конкретному владельцу (аллергии, хронические заболевания животного, прививочный паспорт)

⚠️ Важно: даже связка «имя + номер телефона» в журнале записи является обработкой персональных данных. Если вы ведёте такую базу — вы оператор персональных данных, и на вас распространяются все обязанности, установленные Законом № 152-ФЗ.

Отдельная категория — биометрические данные. Если в салоне установлена система распознавания лиц на входе или камеры видеонаблюдения с функцией идентификации, это создаёт дополнительные обязательства и требует отдельного согласия.

Правовые основания для обработки персональных данных в груминг-салоне

Собирать и хранить клиентские сведения можно только при наличии законного основания. Статья 6 Закона № 152-ФЗ содержит исчерпывающий перечень таких оснований. Для груминг-салона практическое значение имеют три:

1. Согласие субъекта — клиент добровольно даёт разрешение на обработку своих данных (наиболее распространённый вариант).
2. Исполнение договора — данные необходимы для оказания услуги по договору с клиентом (например, для выполнения записи на стрижку и связи при изменении расписания).
3. Законный интерес оператора — применяется ограниченно, когда обработка необходима для целей бизнеса и не нарушает права субъекта.

📎 Ст. 9 Закона № 152-ФЗ: согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Оно может быть дано в любой форме, позволяющей подтвердить факт получения — в том числе путём проставления галочки на сайте или подписания бумажного бланка.

На практике оптимальная модель для салона по уходу за животными выглядит так:

• Офлайн-запись — клиент подписывает бумажное согласие при первом посещении (одновременно с договором на оказание услуг и актом приёма животного).
• Онлайн-запись — на сайте или в приложении размещается политика обработки персональных данных и чекбокс с активным согласием перед отправкой формы.
• Мессенджеры и соцсети — если запись ведётся через WhatsApp или Telegram, необходимо направить клиенту ссылку на политику конфиденциальности и зафиксировать его согласие в переписке.

📋 Пример: груминг-студия «ЛапкиСтайл» внедрила электронную форму согласия: при первой онлайн-записи клиент заполняет карточку питомца и ставит галочку под текстом согласия. Данные хранятся в CRM с ограниченным доступом. При проверке Роскомнадзора студия предъявила журнал согласий за три минуты — претензий не возникло.

Уведомление Роскомнадзора: обязанность оператора, о которой забывают

Большинство владельцев груминг-салонов не знают о существовании обязанности уведомить Роскомнадзор о начале обработки персональных данных. Между тем ст. 22 Закона № 152-ФЗ прямо устанавливает: оператор до начала обработки обязан направить в уполномоченный орган соответствующее уведомление.

Исключения из этой обязанности перечислены в ч. 2 ст. 22. На практике груминг-салон может попасть под исключение, если обрабатывает данные исключительно в рамках исполнения договора с клиентом и не передаёт их третьим лицам. Однако как только вы:

• ведёте рассылку (SMS, email, push-уведомления),
• передаёте информацию о клиентах сторонним сервисам (CRM, сервисы онлайн-записи, платёжные агрегаторы),
• используете данные для маркетинговых целей,

— исключение перестаёт действовать, и уведомление Роскомнадзора становится обязательным.

Подать уведомление можно:

• через портал pd.rkn.gov.ru (электронная форма),
• почтовым отправлением в территориальное управление.

Форма уведомления включает описание целей обработки, категории данных, сроки хранения, меры защиты. Процедура бесплатна и занимает около 30 минут. Срок рассмотрения — до 30 дней.

⚠️ Важно: с 1 сентября 2022 года за непредставление уведомления об обработке персональных данных предусмотрена ответственность по ст. 19.7 КоАП РФ — штраф от 3 000 до 5 000 ₽ для юридических лиц. Но реальные риски значительно выше: отсутствие уведомления — триггер для углублённой проверки всех процессов работы с данными.

Какие документы должен подготовить груминг-салон для защиты персональных данных клиентов

Закон требует от оператора не просто формального согласия, а системного подхода к защите информации. Ниже — перечень документов, которые должны быть у каждого груминг-салона, работающего с клиентской базой.

Обязательные документы

1. Политика обработки персональных данных — публичный документ, размещается на сайте и в зоне ресепшен. Описывает цели, объём, сроки обработки, права субъектов.
2. Согласие на обработку персональных данных — бланк или электронная форма для каждого клиента. Должно содержать перечень обрабатываемых данных, цели, срок действия и порядок отзыва.
3. Приказ о назначении ответственного за обработку персональных данных — даже в микробизнесе необходимо определить конкретное лицо (как правило, руководитель или администратор).
4. Перечень информационных систем, в которых обрабатываются данные (CRM, электронный журнал записи, бухгалтерское ПО).
5. Модель угроз и оценка вреда субъекту — с 1 марта 2023 года оператор обязан оценить возможный вред от нарушения порядка обработки.
6. Регламент реагирования на инциденты — описывает порядок действий при утечке данных и уведомления Роскомнадзора (срок — 24 часа с момента обнаружения).

Дополнительные документы

• Соглашение о конфиденциальности с сотрудниками (администратор, грумеры, имеющие доступ к базе клиентов)
• Инструкция по работе с информационными системами
• Журнал учёта обращений субъектов персональных данных

📎 Ст. 88 ТК РФ: работодатель при передаче персональных данных работника обязан соблюдать требования, установленные Трудовым кодексом и иными федеральными законами. Аналогичный подход распространяется на обязанности сотрудников по сохранению конфиденциальности клиентской информации — это должно быть закреплено в трудовом договоре или отдельном соглашении.

Подготовка полного пакета документов «с нуля» у стороннего юриста обходится в 15 000–40 000 ₽, при этом шаблоны нередко устаревают уже через полгода после очередных поправок. Платформа Bejure позволяет сформировать все необходимые кадровые и правовые документы — от согласий на обработку данных до соглашений о конфиденциальности с сотрудниками — в рамках подписки от 1 440 ₽/мес. Документы автоматически обновляются при изменении законодательства, подписываются электронной подписью и хранятся в защищённой системе, доступной 24/7.

Штрафы за нарушение закона о персональных данных: актуальные суммы

Санкции за нарушения в сфере защиты персональных данных существенно ужесточены в последние годы. Для владельцев груминг-салонов критически важно понимать, какие именно действия (или бездействие) влекут ответственность.

Административные штрафы по ст. 13.11 КоАП РФ

Нарушение	ИП	Юридическое лицо
Обработка данных без согласия	20 000–40 000 ₽	30 000–150 000 ₽
Повторное нарушение	100 000–300 000 ₽	300 000–500 000 ₽
Отсутствие политики на сайте	10 000–20 000 ₽	30 000–60 000 ₽
Нарушение порядка хранения	20 000–40 000 ₽	50 000–100 000 ₽
Неуведомление об утечке данных	40 000–100 000 ₽	100 000–300 000 ₽

⚠️ Важно: с 30 мая 2025 года вступают в силу поправки, вводящие оборотные штрафы за утечки персональных данных — до 3 % годовой выручки компании (но не менее 25 000 000 ₽ для крупных утечек). Для малого бизнеса предусмотрены минимальные пороги, однако даже они составляют от 3 000 000 до 5 000 000 ₽ за утечку данных более 1 000 субъектов.

Уголовная ответственность

Статья 137 УК РФ устанавливает ответственность за незаконный сбор и распространение сведений о частной жизни — штраф до 200 000 ₽ или лишение свободы до 2 лет. Это актуально, например, при публикации фото или видео клиентов без их согласия в социальных сетях салона.

📋 Пример: владелица груминг-салона в Подмосковье разместила в Instagram фотографии «до и после» стрижки питомца вместе с отзывом, содержащим имя клиента и район проживания. Клиент подал жалобу в Роскомнадзор. Результат — штраф 60 000 ₽ за обработку данных без надлежащего согласия и требование удалить публикацию.

Практические меры защиты персональных данных клиентов в салоне груминга

Закон — это рамка. Реальная безопасность информации обеспечивается конкретными организационными и техническими мерами. Вот что должен сделать каждый владелец бизнеса в сфере груминга.

Организационные меры

• Ограничение доступа. К клиентской базе должны иметь доступ только уполномоченные сотрудники. Грумерам для работы достаточно знать имя питомца, породу и особенности — полные контактные данные владельца им не нужны.
• Обучение персонала. Каждый сотрудник, имеющий доступ к сведениям о клиентах, должен быть ознакомлен с политикой обработки данных под подпись. Это требование ст. 18.1 Закона № 152-ФЗ.
• Запрет на использование личных устройств для хранения клиентской базы. Администратор не должен вести запись клиентов в личном телефоне — только в корпоративной системе.
• Регламент удаления данных. Определите срок хранения: если клиент не обращался более 3 лет, его данные подлежат уничтожению (если иное не предусмотрено законодательством).

Технические меры

• Пароли и двухфакторная аутентификация для CRM-системы и электронного журнала записи.
• Шифрование данных при передаче (SSL-сертификат на сайте — обязательное требование для любых форм сбора данных).
• Резервное копирование с защищённым хранением копий.
• Разграничение ролей в информационных системах: администратор видит полную карточку клиента, грумер — только задание на день.

📎 Ст. 19 Закона № 152-ФЗ: оператор обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

Работа с подрядчиками и сервисами

Если груминг-салон использует сторонние сервисы онлайн-записи (Yclients, Dikidi, Арника и др.), необходимо заключить поручение на обработку персональных данных (ст. 6 ч. 3 Закона № 152-ФЗ). Это отдельный договор или дополнительное соглашение, в котором сервис обязуется обрабатывать данные ваших клиентов в определённых целях и с соблюдением требований безопасности.

То же касается бухгалтерских сервисов, платёжных систем, служб доставки (при продаже зоотоваров) и маркетинговых агентств.

Особенности работы с согласием на обработку данных в сфере услуг для животных

Груминг-индустрия имеет специфику, которая влияет на содержание и объём согласия на обработку персональных данных клиентов.

Данные о здоровье питомца и их связь с владельцем

Информация о прививках, хронических заболеваниях, аллергических реакциях животного формально не является персональными данными питомца (у животных нет статуса субъекта). Однако она неразрывно связана с конкретным владельцем и позволяет его идентифицировать. Поэтому в согласии стоит прямо указать, что вы обрабатываете в том числе сведения о домашнем животном клиента для целей безопасного оказания услуги.

Фото- и видеосъёмка

Многие салоны фотографируют питомцев для портфолио и социальных сетей. Если на фото или видео попадает клиент — это обработка его биометрических или иных данных, позволяющих установить личность. Даже публикация кадра, на котором видно лишь руку владельца с характерными украшениями, может стать основанием для жалобы.

Рекомендации:

• Включите в согласие отдельный пункт о праве на фото- и видеофиксацию процесса и результата груминга.
• Укажите, где будут размещаться материалы (сайт, социальные сети, рекламные буклеты).
• Предусмотрите возможность отказа: клиент должен иметь право запретить съёмку без каких-либо последствий для получения услуги.

Запись на услуги через третьих лиц

Нередко питомца привозит не владелец, а его родственник или помощник. В этом случае лицо, записывающее животное, предоставляет данные владельца без его непосредственного присутствия. Формально это передача данных третьим лицом, и вам необходимо либо получить согласие от самого субъекта (например, по телефону с подтверждением), либо предусмотреть соответствующее условие в договоре.

📋 Пример: сеть груминг-салонов в Санкт-Петербурге включила в договор на оказание услуг пункт: «Лицо, передающее животное для груминга, подтверждает, что имеет полномочия от владельца животного на предоставление персональных данных владельца и действует с его согласия». Это снижает правовые риски и упрощает процедуру при проверке.

Все перечисленные документы — от договора на услуги с разделом о персональных данных до согласий и соглашений о конфиденциальности с персоналом — удобно формировать через Bejure. Шаблоны адаптированы под специфику конкретного бизнеса, а документы хранятся в едином цифровом архиве. При проверке или споре нужный файл находится за 30 секунд, а электронная подпись имеет юридическую силу наравне с бумажной.

Часто задаваемые вопросы

Нужно ли груминг-салону с 2–3 сотрудниками соблюдать закон о персональных данных?

Да. Закон № 152-ФЗ распространяется на всех операторов независимо от размера бизнеса и организационно-правовой формы. Если вы как ИП или ООО собираете хотя бы имена и телефоны клиентов — вы оператор персональных данных. Масштаб бизнеса влияет только на объём организационных мер, но не на саму обязанность их принимать.

Можно ли хранить данные клиентов в Excel-таблице на компьютере администратора?

Формально закон не запрещает использование конкретного ПО. Однако файл Excel на незащищённом компьютере не отвечает требованиям ст. 19 Закона № 152-ФЗ: отсутствуют разграничение доступа, логирование действий, защита от копирования. Используйте специализированные CRM-системы с парольной защитой и шифрованием, а все кадровые и правовые документы ведите в защищённых системах электронного документооборота.

Что делать, если клиент просит удалить свои данные из базы салона?

Субъект персональных данных имеет право отозвать согласие на обработку в любой момент (ст. 9 ч. 2 Закона № 152-ФЗ). После получения такого требования оператор обязан прекратить обработку и уничтожить данные в течение 30 дней, если нет иного законного основания для их хранения (например, обязанности по налоговому учёту). Зафиксируйте факт обращения и удаления в журнале учёта.

Нужно ли согласие клиента для размещения фото питомца (без владельца) в соцсетях салона?

Если на фотографии изображён только питомец без каких-либо идентифицирующих признаков владельца, формально это не является обработкой персональных данных. Однако если к фото добавлена подпись с именем владельца, геолокацией или иными идентификаторами — согласие обязательно. Рекомендуется в любом случае получать разрешение клиента на публикацию, чтобы исключить претензии.

Как быть с камерами видеонаблюдения в зале груминга?

Видеонаблюдение в помещении салона допускается при соблюдении нескольких условий: наличие информационной таблички о ведении записи, включение видеонаблюдения в политику обработки данных, определение срока хранения записей (обычно 30–72 часа при отсутствии инцидентов) и ограничение доступа к архиву. Камеры в зоне оказания услуг могут использоваться для контроля безопасности обращения с животными, но направлять их на зону раздевалки или места ожидания клиентов без предупреждения недопустимо.

Заключение

Защита персональных данных клиентов — это не формальность и не «корпоративная история» для крупного бизнеса. Для груминг-салона любого масштаба работа с клиентской информацией без должного правового оформления создаёт реальные финансовые риски: от штрафов в десятки и сотни тысяч рублей до репутационного ущерба при утечке базы. Грамотно составленные согласия, политика обработки данных, соглашения о конфиденциальности с персоналом и регламенты хранения — базовый минимум, без которого современный салон по уходу за животными работает вслепую.

Начните с аудита: определите, какие данные вы собираете, где храните, кому передаёте. Подготовьте комплект документов, подайте уведомление в Роскомнадзор, обучите сотрудников. Это займёт несколько часов — и защитит ваш бизнес на годы вперёд.

Пошаговый алгоритм внедрения системы защиты персональных данных в груминг-салоне: от аудита до регулярного контроля

Теория и перечни документов — необходимая база, однако у владельца груминг-салона, который ежедневно решает десятки операционных задач, неизбежно возникает вопрос: с чего конкретно начать и в каком порядке действовать? Разрозненные шаги — скачать шаблон согласия, повесить табличку о видеонаблюдении, попросить администратора «что-нибудь подписать» — не формируют системы и не защищают бизнес при проверке. Ниже — подробный пошаговый алгоритм, адаптированный именно под специфику малого бизнеса в сфере груминга, с указанием сроков, ответственных и типичных ошибок на каждом этапе.

Этап 1. Аудит текущих процессов обработки данных

Прежде чем составлять документы, необходимо понять, что именно происходит с информацией о клиентах прямо сейчас. Для этого ответьте на следующие вопросы и зафиксируйте результат в простой таблице (достаточно Google Sheets или бумажного бланка):

• Какие данные вы собираете? Перечислите всё: имя, телефон, e-mail, адрес, данные карты, фото питомца, информацию о здоровье животного, историю посещений, предпочтения по стрижке, отзывы.
• Где эти данные хранятся? CRM-система (какая именно), Excel-файл на рабочем компьютере, личный телефон администратора, бумажный журнал, мессенджеры (WhatsApp, Telegram), облачные сервисы (Google Drive, Яндекс.Диск), платёжный терминал, сервис онлайн-записи.
• Кто имеет доступ? Владелец, администратор, грумеры, бухгалтер, маркетолог (штатный или на аутсорсе), подрядчик по ведению соцсетей, разработчик сайта.
• Кому данные передаются? Сервис онлайн-записи, платёжный агрегатор, служба SMS-рассылок, маркетинговое агентство, курьерская служба (если продаёте зоокосметику с доставкой), бухгалтерский сервис.
• Есть ли согласие клиентов? В какой форме получено, сохранено ли, соответствует ли требованиям закона.
• Установлен ли срок хранения? Удаляются ли данные клиентов, которые давно не посещают салон, или база только растёт без какой-либо «очистки».

📋 Пример из практики: владелица груминг-студии в Екатеринбурге провела аудит и обнаружила, что клиентская база дублируется в пяти местах: CRM Yclients, Excel-таблица на ноутбуке администратора, личный телефон второго администратора (WhatsApp-чаты), Google-форма на сайте с автоматической выгрузкой в Google Sheets и бумажный журнал на ресепшен. При этом согласие на обработку не подписывал ни один клиент за три года работы. Аудит занял четыре часа и стал отправной точкой для полной реорганизации процессов.

Типичные ошибки на этом этапе:

• Не учитывать данные, хранящиеся в личных устройствах сотрудников. Администратор уволился — а вместе с ним «ушла» база из 800 контактов в его телефоне.
• Забывать о камерах видеонаблюдения как источнике персональных данных.
• Игнорировать данные, которые собираются «автоматически»: IP-адреса посетителей сайта, cookies, данные Яндекс.Метрики и Google Analytics.

Срок: 1–2 рабочих дня. Ответственный: владелец бизнеса или управляющий салоном.

Этап 2. Определение целей и правовых оснований обработки

По результатам аудита у вас появится полная картина информационных потоков. Следующий шаг — привязать каждый поток к конкретной цели и правовому основанию. Это ключевой юридический элемент, без которого вся остальная работа теряет смысл.

Для типичного груминг-салона карта целей выглядит следующим образом:

Цель обработки	Категории данных	Правовое основание	Срок хранения
Запись на услугу и связь с клиентом	ФИО, телефон, e-mail	Исполнение договора (ст. 6 ч. 1 п. 5)	На период действия договора + 3 года
Безопасное оказание услуги (учёт особенностей здоровья питомца)	Сведения о здоровье животного, ФИО владельца	Согласие субъекта (ст. 6 ч. 1 п. 1)	На период обслуживания
Маркетинговые рассылки	Телефон, e-mail, имя	Согласие субъекта (ст. 15 Закона о рекламе, ст. 6 ч. 1 п. 1 Закона № 152-ФЗ)	До отзыва согласия
Размещение фото/видео в соцсетях	Изображение клиента, имя	Согласие субъекта (ст. 152.1 ГК РФ, ст. 11 Закона № 152-ФЗ)	До отзыва согласия
Бухгалтерский и налоговый учёт	ФИО, платёжные данные	Исполнение обязанностей по законодательству (ст. 6 ч. 1 п. 2)	5 лет (НК РФ)
Видеонаблюдение в помещении	Изображение посетителей	Законный интерес оператора (ст. 6 ч. 1 п. 7)	30–72 часа
Программа лояльности и бонусная система	ФИО, телефон, история покупок	Согласие субъекта	До отзыва согласия или прекращения участия в программе

Такая таблица станет основой для двух важнейших документов: политики обработки персональных данных и формы согласия.

⚠️ Важно: не «склеивайте» все цели в одно общее согласие без детализации. Роскомнадзор расценивает такой подход как нарушение принципа конкретности и определённости цели обработки (ст. 5 ч. 2 Закона № 152-ФЗ). Клиент должен понимать, на что именно он соглашается, и иметь возможность отказаться от отдельных целей — например, разрешить обработку для записи на услугу, но запретить маркетинговые рассылки.

Срок: 1 рабочий день. Ответственный: владелец бизнеса совместно с юристом (штатным или привлечённым).

Этап 3. Подготовка комплекта документов

На основании аудита и карты целей формируется полный пакет документации. Перечень обязательных документов приведён выше в соответствующем разделе статьи, здесь сосредоточимся на практических рекомендациях по содержанию ключевых документов.

Политика обработки персональных данных должна быть написана понятным языком. Документ на 15 страниц мелким шрифтом с обилием юридических терминов формально соответствует закону, но на практике вызывает раздражение клиентов и вопросы проверяющих: «А ваши субъекты действительно понимают, на что соглашаются?» Оптимальный объём — 3–5 страниц. Обязательные разделы:

• Общие положения и определения
• Цели обработки персональных данных
• Перечень обрабатываемых данных
• Порядок и условия обработки
• Порядок хранения и сроки
• Права субъектов персональных данных
• Меры по обеспечению безопасности
• Порядок обращения субъекта и контактные данные ответственного лица

Форма согласия для офлайн-подписания должна умещаться на одном листе А4. Клиент, пришедший подстричь шпица, не готов читать многостраничный документ. При этом согласие должно содержать все элементы, перечисленные в ч. 4 ст. 9 Закона № 152-ФЗ:

• ФИО, адрес субъекта, реквизиты документа, удостоверяющего личность (допускается указание серии и номера без снятия копии)
• Наименование и адрес оператора
• Цель обработки
• Перечень данных, на обработку которых даётся согласие
• Перечень действий с данными (сбор, запись, систематизация, хранение, уточнение, использование, передача, удаление)
• Срок действия согласия и способ отзыва

📎 Рекомендация: объедините согласие на обработку данных с договором на оказание услуг и актом приёма животного в единый документ. Клиент подписывает один бланк, который закрывает сразу три задачи: юридическое оформление услуги, фиксацию состояния питомца при передаче и получение согласия на обработку данных. Это экономит время администратора и повышает процент подписаний.

Срок: 3–5 рабочих дней при самостоятельной подготовке, 1–2 дня при использовании готовых адаптируемых шаблонов. Ответственный: юрист или владелец бизнеса с использованием специализированного сервиса.

Этап 4. Настройка технической инфраструктуры

Документы без технической реализации — декорация. После подготовки правовой базы необходимо привести в порядок информационные системы.

Консолидация данных. Определите одну основную систему хранения клиентской информации (как правило, CRM или сервис онлайн-записи) и ликвидируйте дублирующие хранилища. Перенесите данные из Excel-файлов, бумажных журналов и мессенджеров в единую систему, а исходные источники — уничтожьте.

Настройка прав доступа. В CRM-системе создайте роли с различным уровнем доступа:

• Владелец / управляющий — полный доступ ко всем данным и настройкам
• Администратор — доступ к карточкам клиентов, истории записей, контактным данным
• Грумер — доступ только к расписанию, имени питомца, породе, особенностям стрижки (без телефона и адреса владельца)
• Бухгалтер — доступ к платёжной информации без детальных карточек клиентов

Защита учётных записей. Включите двухфакторную аутентификацию для всех аккаунтов, через которые осуществляется доступ к клиентским данным: CRM, электронная почта салона, личный кабинет сервиса онлайн-записи, аккаунты соцсетей. Используйте уникальные сложные пароли — не «salon2024», а сгенерированные комбинации длиной от 12 символов.

Сайт и онлайн-формы. Проверьте наличие SSL-сертификата (адрес должен начинаться с https://). Убедитесь, что формы записи содержат активный чекбокс согласия (не предзаполненный!) со ссылкой на полный текст политики обработки данных. Проверьте настройки cookies: если сайт использует аналитические или маркетинговые cookies, необходим баннер с запросом согласия.

Мессенджеры. Если запись клиентов ведётся через WhatsApp или Telegram, переведите коммуникацию на бизнес-аккаунт, привязанный к корпоративному номеру. Личные аккаунты сотрудников не должны использоваться для деловой переписки с клиентами: при увольнении администратора вы потеряете и канал связи, и историю коммуникаций.

📋 Пример: груминг-салон в Казани перевёл всю клиентскую коммуникацию с личного WhatsApp администратора на WhatsApp Business API, интегрированный с CRM. Результат: все переписки сохраняются в системе, доступ имеют только авторизованные сотрудники, при смене администратора история не теряется. Дополнительный бонус — автоматические напоминания о записи и запрос обратной связи после визита, что повысило возвращаемость клиентов на 18 %.

Срок: 2–7 рабочих дней в зависимости от сложности инфраструктуры. Ответственный: администратор салона, IT-специалист (при наличии), владелец.

Этап 5. Уведомление Роскомнадзора

После того как процессы выстроены и документы подготовлены, подайте уведомление об обработке персональных данных через портал pd.rkn.gov.ru. Форма потребует информации, которую вы уже собрали на предыдущих этапах:

• Категории субъектов (клиенты, сотрудники)
• Категории обрабатываемых данных
• Цели обработки
• Правовые основания
• Перечень действий с данными
• Наличие трансграничной передачи (если используете зарубежные сервисы — например, Google Analytics или Mailchimp)
• Описание мер безопасности
• Сведения об ответственном лице

⚠️ Важно: если вы используете зарубежные сервисы для хранения или обработки данных клиентов, помните о требовании локализации (ст. 18 ч. 5 Закона № 152-ФЗ): при сборе персональных данных граждан РФ оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение данных с использованием баз данных, находящихся на территории России. Это не запрещает использование иностранных сервисов в принципе, но первичная база должна находиться в РФ.

Срок: 30 минут на заполнение формы + до 30 дней на внесение в реестр. Ответственный: владелец бизнеса или назначенное ответственное лицо.

Этап 6. Обучение персонала

Самый проработанный комплект документов бесполезен, если администратор продолжает записывать клиентов в личный блокнот, а грумер фотографирует карточку питомца на свой телефон «чтобы не забыть». Проведите инструктаж для всех сотрудников, имеющих доступ к данным клиентов.

Содержание инструктажа:

• Что такое персональные данные и почему их защита важна (на конкретных примерах штрафов)
• Какие данные обрабатывает салон и на каком основании
• Правила работы с CRM: запрет на экспорт данных, копирование, пересылку
• Запрет на хранение клиентской информации в личных устройствах
• Порядок действий при обращении клиента с просьбой об удалении данных
• Порядок действий при подозрении на утечку данных
• Ответственность за нарушение — вплоть до расторжения трудового договора и личной административной ответственности

По итогам инструктажа каждый сотрудник подписывает:

• Ознакомление с политикой обработки персональных данных
• Обязательство о неразглашении конфиденциальной информации (включая клиентские данные)

Для новых сотрудников инструктаж проводится в первый рабочий день, до получения доступа к информационным системам.

📎 Ст. 18.1 ч. 1 п. 6 Закона № 152-ФЗ: оператор обязан осуществлять ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, локальными актами оператора и (или) обучение указанных работников.

Срок: 1–2 часа на проведение инструктажа. Ответственный: владелец бизнеса или назначенное ответственное лицо.

Этап 7. Внедрение регулярного контроля

Защита персональных данных — не разовая акция, а непрерывный процесс. Законодательство меняется, сотрудники ротируются, появляются новые сервисы и каналы коммуникации. Без регулярного контроля система деградирует за несколько месяцев.

Ежемесячные задачи:

• Проверка актуальности доступов в CRM: заблокированы ли учётные записи уволенных сотрудников
• Контроль отсутствия клиентских данных в личных устройствах и несанкционированных хранилищах
• Обработка обращений клиентов (запросы на удаление, уточнение, получение информации)

Ежеквартальные задачи:

• Проверка сроков хранения данных: выявление и удаление записей клиентов, не обращавшихся свыше установленного срока
• Проверка актуальности договоров с подрядчиками (поручения на обработку данных)
• Обновление модели угроз при изменении инфраструктуры (новая CRM, новый сервис рассылок, смена хостинга сайта)

Ежегодные задачи:

• Полный аудит процессов обработки по модели этапа 1
• Повторный инструктаж персонала
• Проверка соответствия документов актуальному законодательству (поправки вносятся регулярно — в 2023 и 2024 годах закон менялся несколько раз)
• Обновление уведомления в Роскомнадзор при изменении целей, объёма или порядка обработки

📋 Чек-лист для самопроверки (разместите на рабочем месте администратора):

• ☐ Все новые клиенты подписали согласие на обработку данных
• ☐ Политика обработки данных размещена на сайте и доступна в зоне ресепшен
• ☐ В CRM нет учётных записей уволенных сотрудников
• ☐ Фото и видео клиентов публикуются только с их письменного согласия
• ☐ Бумажные носители с данными клиентов хранятся в запираемом шкафу
• ☐ На компьютере администратора установлен пароль, активирована блокировка экрана
• ☐ Резервная копия базы данных создаётся еженедельно

Сводная дорожная карта внедрения

Этап	Содержание	Срок	Результат
1. Аудит	Инвентаризация данных, хранилищ, доступов	1–2 дня	Таблица информационных потоков
2. Цели и основания	Карта целей обработки с правовыми основаниями	1 день	Таблица целей
3. Документы	Политика, согласия, приказы, регламенты	3–5 дней	Полный пакет документов
4. Техническая настройка	Консолидация баз, настройка доступов, защита	2–7 дней	Защищённая инфраструктура
5. Уведомление РКН	Подача уведомления через pd.rkn.gov.ru	30 минут	Запись в реестре операторов
6. Обучение персонала	Инструктаж, подписание обязательств	1–2 часа	Обученный персонал
7. Регулярный контроль	Ежемесячные, квартальные, годовые проверки	Постоянно	Поддержание системы в актуальном состоянии

Общий срок внедрения системы защиты персональных данных «с нуля» для небольшого груминг-салона составляет от 7 до 14 рабочих дней. Это инвестиция, которая окупается при первой же проверке Роскомнадзора, жалобе клиента или попытке недобросовестного конкурента использовать тему персональных данных как инструмент давления.

Формирование документов, отслеживание изменений законодательства и хранение подписанных согласий в единой системе значительно упрощается при использовании цифровых платформ кадрового и правового документооборота. Bejure закрывает задачу подготовки и актуализации всего комплекта — от политики обработки данных до соглашений о конфиденциальности с каждым сотрудником — в рамках единой подписки, без необходимости привлекать внешнего юриста для каждого обновления.